Cik maksā ielaušanās tests un kas nosaka tā cenu

„Cik maksā ielaušanās tests?“ Uz šo jautājumu lielākā daļa pakalpojumu sniedzēju atbild, ka cena ir individuāla. Atbilde ir godīga, tikai budžetu pēc tās uzrakstīt nevar.

Cenrādi nepublicējam, un tā nav izvairīšanās. Divus interneta veikalus, kurus pieprasījumā apraksta viens un tas pats teikums, darba ietilpībā var šķirt trīskārtīga starpība. Publicējam to, kas šajā darbā tiešām ir izmērāms: vienību, kurā darbu plāno, un sarakstu ar to, kas šo vienību kustina. Ar to jau var aprēķināt savu tvērumu un godīgi salīdzināt svešu piedāvājumu.

Latvijas tirgū vienu un to pašu darbu sauc dažādi: ielaušanās tests jeb pentests, ielaušanās testēšana, dažviet arī kiberielaušanās tests. Cenu nosaukums nemaina – to maina tas, kas piedāvājumā ietilpst.

Kāpēc „cena par lietotni“ ir slikts jautājums

„Lietotne“ nav darba vienība. Ar vienu un to pašu vārdu apzīmē mājaslapu ar kontaktformu un portālu, kurā ir trīs kontu veidi, maksājumi, failu augšupielāde un četrdesmit API galapunkti. Pirmo pabeidz divās dienās. Otrajam vajag vairāk nekā desmit cilvēkdienas, un beigās joprojām nākas izlemt, ko atstāt ārpus tvēruma.

Kas nosauc cenu, nepazīstot tvērumu, dara vienu no divām lietām: vai nu ieliek rezervi sliktākajam scenārijam, vai rēķina labāko un darba gaitā tvērumu apgriež. Abi ceļi ved uz vienu un to pašu sarunu par līguma grozījumiem projekta vidū.

Jautājums, uz kuru var atbildēt, skan citādi: cik cilvēkdienu vajag šim tvērumam un kas tieši tajā ietilpst. Par to ir viss pārējais raksts.

Vienība ir cilvēkdiena

Cilvēkdiena ir viena testētāja viena darba diena. Tajā plāno darbu, tajā rēķina komanda, un tikai tajā divus piedāvājumus var nolikt blakus. Tabulā ir orientējoša darba ietilpība un izpildes laiks tipiskiem tvērumiem.

Abas skaitliskās kolonnas nemēra vienu un to pašu, un tās ir vērts turēt atsevišķi. Darba ietilpība ir testētāju darbs. Izpildes laikā papildus ietilpst tvēruma saskaņošana, piekļuvju nodošana – tā parasti ir pasūtītāja pusē – un ziņojuma sagatavošana. Ko tieši par šīm dienām saņemat, esam aprakstījuši ielaušanās testēšanas lapā.

Ko rāda Latvijas tirgus cenas

Latvijā cenas nav noslēpums, un ar to šis tirgus atšķiras no daudziem citiem. Vismaz viens vietējais pakalpojumu sniedzējs publicē pilnu cenrādi ar stundas likmi, un vēl daži nosauc sākuma cenu. Publiskotie skaitļi sākas ap 3 000 € par vienkāršu ārējo testu, bet plašiem tvērumiem – vairākas savstarpēji saistītas sistēmas, iekšējais tīkls, mākoņvide – sniedzas 15 000–30 000 € robežās un pāri tām.

Šie ir tirgus dati, nevis mūsu cenrādis: savas cenas nepublicējam, jo skaitlis bez tvēruma neko nepasaka. Tieši tur ir slazds. Divas publicētas sākuma cenas nav salīdzināmas, kamēr nav zināms, cik cilvēkdienu aiz katras stāv un kas tajās ietilpst. Sākuma cena ir zemākā robeža vienkāršākajam iespējamajam darbam, nevis prognoze konkrētam projektam.

Vienā ziņā šie skaitļi tomēr noder: tie rāda kārtu. Ja piedāvājums par vidēji sarežģītu lietotni ir vairākas reizes zemāks nekā tirgus zemākā robeža, atbilde parasti ir tā, ka pircējs saņems ievainojamību skenēšanu, nevis manuālu testu.

Kas kustina darba ietilpību

Lomu skaits

Lietotnēs šī ir smagākā pozīcija. Lietotne ar trim kontu veidiem nav tas pats, kas lietotne ar vienu: piekļuves tiesību pārbaudes jāiziet katrai lomai atsevišķi, pēc tam vēl šķērsām. Trīs lomas nozīmē sešus piekļuves virzienus – vai viens lietotājs redz otra datus, vai ikdienas konts tiek līdz administratora funkcijām, vai pēc izrakstīšanās sesija paliek dzīva.

Tāpēc pieprasījumā lomu skaits sver vairāk nekā ekrānu skaits. Nosauciet to uzreiz un sagatavojiet testa kontu katrai lomai.

API galapunktu un funkciju skaits

Desmit formas nav desmitkārt vairāk darba nekā viena, bet nav arī tikpat daudz. API gadījumā vienība nav ekrāns, bet galapunkts: katram ir savas metodes, parametri un piekļuves noteikumi.

Šeit var ietaupīt vislētāk, turklāt tvērumu neapgriežot: iedodiet dokumentāciju. OpenAPI apraksts vai Postman kolekcija noņem stundas, kas citādi paietu galapunktu uzminēšanā. Tas pats laiks atgriežas biznesa loģikas pārbaudē, tātad tur, kur mēdz būt smagākās kļūdas.

IP adrešu un dzīvo sistēmu skaits

Infrastruktūrā svarīgs nav adrešu diapazona lielums, bet tas, cik iekārtu atbild un kas uz tām darbojas. Viens /24 diapazons ar divpadsmit strādājošiem serveriem ir mazāks darbs nekā sešdesmit iekārtas trijās atrašanās vietās.

Pieprasījumā tāpēc ielieciet IP adrešu un diapazonu sarakstu ar norādi, kas uz tiem stāv. Domēna kontrolleris, pasta serveris un ražošanas iekārtu tīkls nozīmē trīs dažādas piesardzības pakāpes un trīs dažādas darba ietilpības.

Testa modelis un pirmkods

Šeit intuīcija maldina visvairāk: jo mazāk par sistēmu zināms sākumā, jo dārgāks ir darbs.

• Melnās kastes princips. Visdārgākais variants. Testētājs sāk no nulles, tāpēc daļu budžeta apēd izlūkošana, pirms kāds pieskaras pašai pārbaudei.
• Pelēkās kastes princips. Biežākā izvēle. Lietotāju konti un īss sistēmas apraksts ir pietiekami, lai sāktu uzreiz ar būtisko.
• Baltās kastes princips. Dod visvairāk konstatējumu uz vienu cilvēkdienu. Ar pirmkodu, arhitektūras shēmu un administratora kontu testētājs nonāk līdz kļūdām, līdz kurām no ārpuses tiktu nedēļas laikā vai vispār netiktu.

Modeli izvēlas pēc tā, no kā organizācija baidās, nevis pēc budžeta. Visas trīs pieejas esam izklāstījuši rakstā par to, kas ir ielaušanās testēšana.

Produkcijas vide vai testa vide

Produkcijas vidē jāstrādā uzmanīgi, un uzmanība ir laiks: laika logs ārpus slodzes stundām, saskaņošana ar uzturētājiem, dažu paņēmienu izlaišana, atjaunošanas plāns. Testa vide lielāko daļu no tā noņem, ar vienu nosacījumu: tai ir jābūt produkcijas vides kopijai, nevis pusgadu vecai versijai ar izslēgtu maksājumu integrāciju. Pārbaude vidē, kas ar produkcijas vidi nesakrīt, ir lētāka un bezvērtīga.

Manuālā darba īpatsvars

Šeit divi piedāvājumi atšķiras visvairāk, un tieši šeit tos ir visgrūtāk salīdzināt.

Automatizēts rīks iziet sistēmai cauri un izraksta to, ko atrod savā datubāzē. Tas ir lēts un ātrs, un zināmās kļūdas noķer. Lietotnes loģiku tas nesaprot: rīks nepamana, ka viens konts redz otra pasūtījumus, jo nezina, ka nedrīkstētu.

Manuālu pārbaudi veic cilvēks, kurš šo loģiku saprot un apzināti mēģina to apiet. Viņš atrod kļūdas piekļuves tiesībās un biznesa noteikumos un saliek atsevišķi nenozīmīgus sīkumus vienā nopietnā scenārijā. Tas maksā vairākkārt vairāk, jo arī darba ir vairākkārt vairāk. Abas pieejas esam salīdzinājuši rakstā ievainojamību skenēšana vai ielaušanās tests.

Ja viens piedāvājums ir jūtami lētāks nekā pārējie, pirmais jautājums ir skaidrs: cik no tā ir manuāls darbs?

Ziņojuma forma un gatavības prasība

Ziņojums ir produkts, nevis blakusprodukts. No rīka eksportēts saraksts par tādu vēl nekļūst: no dokumenta, pēc kura var uzrakstīt novēršanas plānu, to šķir vairākas cilvēkdienas darba – un tieši šī starpība izšķir, vai auditors to pieņems par pierādījumu.

Darba ietilpību ceļ arī uzdevums katru konstatējumu sasaistīt ar konkrētu prasību: ISO/IEC 27001 A pielikuma kontroli, PCI DSS noteikumu vai Ministru kabineta noteikumu Nr. 397 punktu. Šī piesaiste nav formalitāte. Tieši no tās ziņojums kļūst par pierādījumu.

Atkārtota pārbaude un atkārtojamība

Pēc labojumiem jāpārliecinās, ka tie tiešām strādā. Atkārtota pārbaude nav visa testa atkārtošana: tā vēlreiz apskata tikai tās vietas, kurās bija konstatējumi. Mums tā ietilpst darbā, nevis ir atsevišķa pozīcija, un pie jebkura cita pakalpojumu sniedzēja to ir vērts pajautāt tieši, jo piedāvājumā tā mēdz būt atsevišķa rinda.

Atkārtojamība darbojas pretējā virzienā: tā darba ietilpību samazina. Tās pašas vides otrajā un trešajā pārbaudē izlūkošana ir īsāka, un komanda jau pazīst arhitektūru un iepriekšējos konstatējumus. Vienošanās par vairākiem cikliem izmaksā mazāk nekā trīs atsevišķi pasūtījumi tiem pašiem trim gadiem.

Kā aprēķināt savu tvērumu

Pieņemsim, ka runa ir par interneta veikalu: trīs lomas (viesis, klients, administrators), aptuveni četrdesmit API galapunkti, maksājumu integrācija, pelēkās kastes princips, un pārbaude notiek produkcijas vides kopijā. Lūk, kā sadalās darbs.

Tas nozīmē 2–3 nedēļas izpildes laika. Skaitļi ir orientējoši: tas pats tvērums citā komandā sadalīsies citādi, bet kārtu var pārbaudīt. No šejienes savu tvērumu varat izrēķināt paši, jo redzams arī tas, kas gala summu pakustina:

• divas papildu lomas: +1–1,5 cilvēkdienas, jo šķērsvirziena pārbaužu skaits aug kvadrātiski;
• melnās kastes princips pelēkās vietā: +1–2 cilvēkdienas izlūkošanai;
• produkcijas vide kopijas vietā: +0,5–1 cilvēkdiena saskaņošanai un laika logiem;
• trūkstoša API dokumentācija: +0,5–1 cilvēkdiena minējumiem;
• pirmkoda nodošana: darba ietilpību nepalielina, bet pārliek to no izlūkošanas uz dziļāku pārbaudi.

Kas cenu nemaina

Uzņēmuma lielums. Pārbaudām sistēmu, nevis gada pārskatu. Mazs uzņēmums ar sarežģītu portālu maksā vairāk nekā liels uzņēmums par vienkāršu mājaslapu.

Atrasto ievainojamību skaits. Maksā par darbu, nevis par rezultātu. Kas rēķina pēc konstatējumu skaita, tam ir interese uzpūst bīstamības pakāpi.

Tas, vai esat „vilinošs mērķis“. Šis ir pārdošanas arguments, nevis plānošanas kritērijs. Uzbrucēji iet pa mazākās pretestības ceļu un neizvēlas upurus pēc uzņēmuma lieluma.

Cik ilgi notiek ielaušanās tests

Projekts sastāv no trim posmiem, un tikai vidējais no tiem ir pati pārbaude.

1. Sagatavošanās – tvēruma, testēšanas noteikumu un izņēmumu pierakstīšana, kontu un piekļuvju nodošana. Dažas dienas, parasti pasūtītāja pusē.
2. Pārbaude – atkarībā no tvēruma 3–15 cilvēkdienas.
3. Ziņojums – aptuveni piektā daļa projekta laika. Ziņojumu raksta pēc testiem, nevis to laikā.

No sākuma līdz ziņojumam tas kopā ir 1–3 nedēļas. Atkārtota pārbaude notiek vēlāk, pēc labojumu nodošanas, un aizņem daļu no sākotnējās ietilpības.

Praksē visilgāk mēdz vilkties nevis pati pārbaude, bet gaidīšana uz sākumu. Labām komandām kalendārs ir aizņemts nedēļas uz priekšu, tāpēc, ja ziņojums vajadzīgs pašvērtējumam vai iepirkumam, sarunu par tvērumu ir vērts sākt laikus.

Vai cenu nosaka normatīvie akti

Komercpakalpojuma cenu Latvijā nenosaka neviens normatīvais akts: par to vienojas puses. Netieši regulējums cenu tomēr ietekmē, un šo saikni ir vērts saprast, pirms top iepirkuma pieprasījums.

Nacionālās kiberdrošības likums (turpmāk – NKDL) un Ministru kabineta 2025. gada 25. jūnija noteikumi Nr. 397 „Minimālās kiberdrošības prasības“ nosaka, kad ielaušanās tests notiek un kas to drīkst veikt. Noteikumu 8.2. apakšnodaļā ielaušanās testiem ir veltīts 131.–134. punkts. Cenai svarīgi ir trīs punkti.

• 131. punkts nosaka biežumu. A klases informācijas sistēmai tests notiek pirms nodošanas ekspluatācijā un vismaz reizi trijos gados. Budžetā tas nozīmē ciklisku, nevis vienreizēju pozīciju.
• 132.2.1. apakšpunkts prasa testētājam vai nu starptautiski atzītu sertifikātu, kas apliecina kvalifikāciju ielaušanās testu jomā (kā piemēri noteikumos minēti CEH un OSCP), vai vismaz divu gadu pieredzi, kas iegūta pēdējo piecu gadu laikā. Kvalifikācijas prasība sašaurina izpildītāju loku, un sašaurināts loks cenu uz leju nedzen.
• 132.2.2. apakšpunkts prasa neatkarību: pēdējo triju gadu laikā testētājs nedrīkst būt piedalījies testējamās sistēmas izstrādē vai uzturēšanā. Praksē tas nozīmē, ka lētāko variantu – lai sistēmu pārbauda tie paši, kas to uzbūvēja – šim mērķim izmantot nevar.

Vēl viens cikls nāk no paša likuma. NKDL 25. panta piektās daļas 2. punkts kiberdrošības pārvaldniekam uzliek pienākumu ne retāk kā reizi gadā veikt informācijas un komunikācijas tehnoloģiju drošības pārbaudi un atbilstoši tās rezultātiem organizēt konstatēto trūkumu novēršanu. Izpildītājam šeit kvalifikācijas prasības nav noteiktas, tāpēc ikgadējo pārbaudi var plānot atsevišķi no trīsgadu cikla. Tieši šī ikgadējā pozīcija budžetā visbiežāk paliek neieplānota. Kam un kad tests ir obligāts, esam izsekojuši rakstā par to, vai ielaušanās testēšana ir obligāta.

Divas robežas, ko labāk nosaukt uzreiz. Ja sistēma pieder IKT kritiskajai infrastruktūrai, noteikumu 132.3. apakšpunkts prasa testētājam Satversmes aizsardzības biroja atzinumu; tāda atzinuma mums nav, tāpēc šādas sistēmas netestējam. Un noteikumu 135.–140. punkts apraksta pavisam citu IKT infrastruktūras pārbaudi ar citu izpildītāju loku: tas ir uzraudzības instruments, nevis pakalpojums, ko pērk tirgū.

Atsevišķi stāv NKDL 44. pantā noteiktais audits. To veic auditors, kurš atbilst normatīvajos aktos izvirzītajiem kritērijiem; tā ir cita procedūra ar citu izcenojumu, un ielaušanās testa cenai tā nav atskaites punkts. Mūsu puse šajā procedūrā ir tehniskais materiāls: ziņojums, konstatējumu pierādījumi, risku novērtējums un atkārtotās pārbaudes rezultāts. Ko auditors prasīs un ko sagatavot iepriekš, esam aprakstījuši rakstā par to, kā sagatavoties kiberdrošības auditam.

Pieprasījums, ko var izcenot

Bez tvēruma cena ir minējums, un divu minējumu salīdzināšana neko nepasaka. Salīdzināmas atbildes saņem tas pieprasījums, kurā ir:

• mērķu saraksts: domēna vārdi, IP adreses un diapazoni, lietotņu nosaukumi, mobilās versijas;
• lomu skaits un testa konts katrai lomai;
• API galapunktu skaits kopā ar dokumentāciju (OpenAPI apraksts, Postman kolekcija);
• testa modelis: melnās, baltās vai pelēkās kastes princips, un vai līdzi nāk pirmkods;
• vide: produkcijas sistēma vai kopija, laika logi, no pārbaudes izslēgtie paņēmieni;
• metodoloģija un sagaidāmais aptvērums – OWASP WSTG, ASVS un pārējie standarti dziļumu apraksta konkrēti un pārbaudāmi;
• ziņojuma sagaidāmā forma un valoda;
• atkārtota pārbaude: vai tā ietilpst un cik ilgi pēc labojumu nodošanas to var izsaukt;
• termiņš un saziņas kārtība darba laikā.

Ar šo sarakstu saņem salīdzināmus piedāvājumus. Bez tā saņem divkāršas atšķirības, kurās neviens piedāvājums nav kļūdains.

Publiskā iepirkuma pasūtītājam tas pats saraksts ir tehniskās specifikācijas melnraksts. Ja specifikācijā tvēruma nav, zemākās cenas kritērijs izvēlēsies to piedāvājumu, kurā pārbaudīs vismazāk.

Kā salīdzināt divus piedāvājumus

Ja uz galda ir divi piedāvājumi par jūsu sistēmu un viens ir divreiz lielāks nekā otrs, gandrīz droši runa nav par vienu un to pašu darbu. Pieci jautājumi to noskaidro.

1. Cik cilvēkdienu? Ja piedāvājumā šā skaitļa nav, salīdzināt nav ko.
2. Cik liels ir manuālā darba īpatsvars? Pajautājiet tieši; nozarē tas ir parasts jautājums.
3. Pēc kādas metodoloģijas un cik dziļi? OWASP Top 10 ir cits aptvērums nekā OWASP ASVS otrais līmenis.
4. Kurš veiks pārbaudi un kāda ir viņa kvalifikācija? Tehniskajā darbā starpība starp pieredzējušu un iesācēju testētāju ir tajā, ko viņi atrod, nevis cik ilgi to dara. Izpildītāja pārbaudi esam aplūkojuši rakstā ētiskais hakeris.
5. Vai atkārtota pārbaude ietilpst un cik ilgi to var izsaukt? Ja neietilpst, pieskaitiet to klāt.

Divas cilvēkdienas lietotnei ar piecām lomām nav ietaupījums. Tas ir cits tvērums, aprakstīts ar to pašu teikumu.

Kad ielaušanās tests nav pareizā atbilde

Godīgā atbilde ir tāda, ka reizēm vajag ko citu.

• Ja mērķis ir pastāvīgi sekot zināmajām ievainojamībām daudzās sistēmās vienlaikus, labāks rīks ir regulāri atkārtota ievainojamību novērtēšana.
• Ja jautājums ir, vai darbinieki atpazīst pikšķerēšanu, vajadzīga sociālā inženierija, nevis lietotnes tests.
• Ja gribat zināt, vai īsts uzbrucējs tiktu līdz datiem un vai to kāds pamanītu, runa ir par Red Team uzbrukuma simulāciju. Cits žanrs, cits budžets, un jēga tam ir tad, kad acīmredzamās kļūdas jau ir novērstas.

Visdārgākais tests ir tas, kas pasūtīts nepareizajam mērķim.

Vai gatavības dēļ pasūtīts tests maksā vairāk

Pati pārbaude – nē. Cenu nosaka tvērums, nevis iemesls, kāpēc tests notiek. Mainās pierādījuma forma: ziņojuma uzbūve, konstatējumu piesaiste konkrētām prasībām un atkārtotās pārbaudes rakstisks apstiprinājums, kas noslēdz pavedienu. Mums tas ietilpst pakalpojumā, nevis ir piemaksa.

Vienam apgalvojumam tomēr ir vērts pievērst uzmanību, jo tas tirgū izskan bieži un nepareizi: ikgadēju ielaušanās testu visām sistēmām neprasa ne NKDL, ne noteikumi Nr. 397. Testēšanas ietvarus gatavībai esam aprakstījuši NIS2 un NKDL un ISO 27001 lapās, bet jautājumu par to, vai ar ISO 27001 pietiek NKDL prasībām, esam izsekojuši atsevišķi.

Kas ietilpst mūsu darbā

• Tvēruma saskaņošana un rakstiski pierakstīti testēšanas noteikumi.
• Manuāla pārbaude pēc atzītām metodoloģijām, nevis tikai automatizēta palaišana.
• Ziņojums ar kopsavilkumu vadībai un tehnisko daļu, kurā katrs konstatējums ir pierādīts.
• Konkrēti novēršanas ieteikumi, nevis atsauces uz ražotāja dokumentāciju.
• Atkārtota pārbaude pēc labojumu ieviešanas.
• Noslēguma saruna ar jūsu komandu un to testētāju, kurš pārbaudi veica.

Konkrētu un nesaistošu piedāvājumu sagatavojam pēc īsas sarunas par tvērumu – pieteikties konsultācijai.

Ielaušanās testa cena – biežāk uzdotie jautājumi

Saistītie Haxoris pakalpojumi: tīmekļa lietotņu un IT infrastruktūras ielaušanās testēšana